感覺這道題對我已經有難度了

一、原題

報告首長！發現一隻蒼蠅。。

在哪？

here!

臥槽？！好大一坨蒼蠅。。

提取碼：oe6w

PS：flag寫錯了，太麻煩也懶得改了，格式還是wctf{…}，大家明白就好，不要在意這些細節。。

二、writeup

首先下載所給的檔案misc_fly.pcapng，是一個抓包軟體抓取的資料包，解題流程如下：

1.用wireshark分析資料包

開啟資料包，發現是一堆TCP的包，先不理會底層的資料，只關心應用層。
應用層的協議只有HTTP，過濾出HTTP的包進一步分析：

POST了一段這樣的JSON：

{
    "path"
 
:"fly.rar",
    "appid":"",
    "size":525701,
    "md5":"e023afa4f6579db5becda8fe7861c2d3",
    "sha":"ecccba7aea1d482684374b22e2e7abad2ba86749",
    "sha3":""
}

目標url為：

http://set2.mail.qq.com/cgi-bin/uploadunite?func=CreateFile&&inputf=json&outputf=json&&sid=x5O8ZuWvSp9yXFgM

這應該是一個上傳檔案的操作，檔名為fly.rar

http.request.method == "POST"

其中倒數第二個包的內容是：

至此已經可以確定：

資料包的內容：一封帶附件的郵件
發件人：81101652@qq.com
收件人：[email protected].net
附件：fly.rar
附件大小：525701 Bytes

接下來尋找附件資料在哪裡。

2.尋找附件資料

第一個請求向伺服器POST附件資訊，緊接著就應該是上傳，結合資料包推斷第2～6個，共5個數據包應為附件資料。

5個數據包中的Media Type域

131436
131436
131436
131436
1777

合計527521，而前面附件資訊裡已知附件大小為525701，相差不多，多出來的部分應該是頭部的資訊之類。

3.還原附件資料

觀察5個包Media Type域的內容，前面很大一部分內容是相同的，那麼這一部分是通訊時所需的頭部的內容，不是附件本身的內容，通過計算將多餘的資料去除。

已知：
附件被分成5個部分
5個子部分合計大小為527521
附件原大小為525701
求：
每個子部分頭部多餘的資料

容易求出，頭部多餘的部分：

527521−5257015=364Bytes

將5個數據包的Media Type域分別匯出為二進位制檔案：

然後使用dd命令分別將其前364個位元組去除：

dd if=1 bs=1 skip=364 of=1.1
dd if=2 bs=1 skip=364 of=2.1
dd if=3 bs=1 skip=364 of=3.1
dd if=4 bs=1 skip=364 of=4.1
dd if=5 bs=1 skip=364 of=5.1

之後合併檔案：

cat  1.1  2.1  3.1  4.1  5.1  >  fly.rar

校驗md5值：

md5sum fly.rar

結果：

e023afa4f6579db5becda8fe7861c2d3

而第一步中得到的資料包中POST資料為：

{
    "path":"fly.rar",
    "appid":"",
    "size":525701,
    "md5":"e023afa4f6579db5becda8fe7861c2d3",
    "sha":"ecccba7aea1d482684374b22e2e7abad2ba86749",
    "sha3":""
}

二者一致。同理再校驗sha值，同樣一致。
至此，由網路包還原出了附件資料fly.rar：

4.處理附件資料

本以為到這裡已經大功告成，解壓fly.rar即可。
結果還有後招……竟然解壓失敗……
分析原因，
fly.rar檔案通過了md5和sha校驗，肯定是沒問題的，自己的思路到這裡斷了，怎麼想也沒結果。
無奈搜答案，得出結果——偽加密。
即這是一個未加密過的rar檔案，但是卻將加密位置為了1，具體可參考
[rar檔案格式描述]
只需將檔案開頭處0x74位後面的0x84位置改為0x80即可

修改後順利解壓，得到flag.txt。

5.處理flag.txt

這回答案該有了吧，開啟flag.txt檢視，這又是一個二進位制檔案。
無語。
繼續二進位制開啟。
發現這是個win32的程式，Linux跑不了，轉到windows檢視。
是個滿螢幕跑蒼蠅的程式……還挺逼真的……
還是二進位制開啟分析。
檔案內搜PNG、Rar、JFIF，檔案尾有一個PNG，提取出來，是個二維碼：

掃之，得到結果
flag{m1Sc_oxO2_Fly}

三、flag

wctf{m1Sc_oxO2_Fly}

四、知識點

這題夠繞的……
雖然參考了部分答案，但做完感覺很好。